ปฏิบัติการแรนซัมแวร์ที่รู้จักในชื่อ The Gentlemen ซึ่ง Microsoft ติดตามภายใต้ชื่อ Storm-2697 กำลังดึงความสนใจใหม่จากนักวิจัยด้านความปลอดภัยสำหรับความสามารถที่เฉพาะเจาะจงและน่ากังวล: ความสามารถในการปิดใช้งานเครื่องมือ endpoint detection and response (EDR) ก่อนที่จะเริ่มการโจมตี คำแนะนำใหม่ฉบับหนึ่งได้วิเคราะห์ว่ากลุ่มนี้ทำให้การป้องกันที่องค์กรพึ่งพาในการตรวจจับการบุกรุกนั้นมองไม่เห็นได้อย่างไร และผู้ป้องกันสามารถทำอะไรได้บ้างเพื่อปิดช่องโหว่นี้

The Gentlemen ดำเนินการในฐานะแพลตฟอร์ม ransomware-as-a-service (RaaS) หมายความว่ากลุ่มหลักสร้างและดูแลมัลแวร์ ขณะที่เครือข่ายพันธมิตร (affiliates) เป็นผู้ดำเนินการบุกเข้าและเจรจาจริง โมเดลนี้กลายเป็นโครงสร้างที่โดดเด่นเบื้องหลังแคมเปญแรนซัมแวร์ขนาดใหญ่ เพราะช่วยให้ผู้ปฏิบัติการขยายตัวได้อย่างรวดเร็ว แพร่เครื่องมือไปยังผู้โจมตีมากขึ้นโดยไม่ต้องลงมือบุกรุกเอง นักวิจัยอธิบายว่า The Gentlemen มีแรงจูงใจทางด้านการเงิน มีต้นกำเนิดจากการพูดภาษารัสเซีย และเติบโตอย่างรวดเร็วในระยะเวลาอันสั้น รูปแบบที่สะท้อนกลุ่ม RaaS อื่น ๆ ที่ขยายตัวอย่างก้าวร้าวเมื่อโมเดลพันธมิตรของพวกเขาเติบโตเต็มที่

The Gentlemen แรนซัมแวร์ทำให้การป้องกัน EDR มองไม่เห็นได้อย่างไร

ซอฟต์แวร์ EDR ถูกออกแบบมาให้เป็นแนวป้องกันสุดท้ายบนอุปกรณ์ที่ถูกบุกรุก: มันเฝ้าระวังพฤติกรรมกระบวนการที่น่าสงสัย แจ้งเตือนกิจกรรมไฟล์ที่ผิดปกติ และสามารถแยกเครื่องก่อนที่แรนซัมแวร์จะเข้ารหัสไฟล์เสร็จ วิธีการของ The Gentlemen มุ่งเป้าไปที่ชั้นนี้โดยเฉพาะ แทนที่จะพยายามแอบผ่านเครื่องมือ EDR ชุดเครื่องมือของกลุ่มนี้ถูกสร้างมาเพื่อปิดใช้งาน ถอนการติดตั้ง หรือทำให้เป็นกลางโดยตรง ซึ่งเท่ากับถอดระบบสัญญาณเตือนออกก่อนที่การบุกรุกจะถูกสังเกตเห็นด้วยซ้ำ

ความสามารถแบบ EDR-killer นี้กลายเป็นคุณสมบัติที่เกิดซ้ำในชุดเครื่องมือแรนซัมแวร์สมัยใหม่ และเปลี่ยนการคำนวณสำหรับผู้ป้องกัน เครือข่ายที่สมมติว่า EDR agent ของตนจะรายงานกลับเสมอจะมีความเสี่ยงหากการเคลื่อนไหวแรกของผู้โจมตีคือการปิดเสียง agent นั้น เมื่อเครื่องมือด้านความปลอดภัยดับลง ผู้ปฏิบัติการแรนซัมแวร์สามารถเคลื่อนที่ในแนวนอน เก็บเกี่ยวข้อมูลรับรอง และเตรียมข้อมูลสำหรับการส่งออก โดยมีความเสี่ยงในการตรวจจับตั้งแต่เนิ่น ๆ น้อยลงมาก สิ่งนี้สะท้อนแนวโน้มที่กว้างขึ้นในตระกูลแรนซัมแวร์ต่าง ๆ: ผู้ก่อภัยคุกคามให้ความสำคัญกับการปิดใช้งานเครื่องมือด้านความปลอดภัยเป็นขั้นตอนแรกมากขึ้น ไม่ใช่คิดทีหลัง เพราะมันซื้อเวลาให้พวกเขาทำแคมเปญเข้ารหัสและกรรโชกทั้งเครือข่ายได้สำเร็จ

ทำไมเรื่องนี้จึงสำคัญเกินกว่าข้อความเรียกค่าไถ่

ผลกระทบด้านความเป็นส่วนตัวของการทำให้ EDR มองไม่เห็นนั้นเกินกว่าการหยุดชะงักทันทีของการโจมตีแรนซัมแวร์ ปฏิบัติการแรนซัมแวร์สมัยใหม่ส่วนใหญ่ รวมถึงกลุ่ม double-extortion ขโมยข้อมูลก่อนที่จะเข้ารหัส หากเครื่องมือ EDR ถูกปิดใช้งานตั้งแต่เนิ่น ๆ ของการบุกรุก องค์กรจะสูญเสียการมองเห็นว่ามีอะไรถูกเข้าถึง คัดลอก หรือส่งออกในช่วงเวลาที่ผู้โจมตีควบคุมเครือข่าย ความไม่แน่นอนนี้ทำให้การแจ้งเตือนการละเมิดข้อมูล การรายงานต่อหน่วยงานกำกับดูแล และความพยายามใด ๆ ในการบอกลูกค้าหรือผู้ป่วยที่ได้รับผลกระทบว่าข้อมูลใดอาจถูกเปิดเผยนั้นซับซ้อนขึ้น

นี่เป็นรูปแบบที่คุ้นเคยทั่วทั้งภูมิทัศน์แรนซัมแวร์ คำแนะนำที่ครอบคลุมกลุ่มที่ยังเคลื่อนไหวอื่น ๆ เช่น คำเตือนร่วมที่ออก вокруг แรนซัมแวร์ Gunra ที่มุ่งเป้าองค์กรด้านสุขภาพ ได้เน้นย้ำซ้ำแล้วซ้ำเล่าว่าผู้โจมตีใช้ประโยชน์จากจุดบอดในการตรวจสอบเพื่อเพิ่มความเสียหายสูงสุดก่อนที่ใครจะสังเกตเห็น ภาคสุขภาพโดยเฉพาะเป็นเป้าหมายที่เกิดซ้ำ ดังรายละเอียดในคำแนะนำเกี่ยวกับภัยคุกคามที่Growingของ Gunra ต่อโรงพยาบาล เพราะข้อมูลผู้ป่วยที่ละเอียดอ่อนรวมกับความเร่งด่วนในการดำเนินงานทำให้องค์กรมีแนวโน้มที่จะจ่ายเงินอย่างรวดเร็ว วิธีการทำให้ EDR มองไม่เห็นของ The Gentlemen เข้ากับบทละครเดียวกันนี้: ปิดผู้เฝ้าระวัง แล้วค่อย ๆ ลงมือ

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณดูแล IT หรือปฏิบัติการด้านความปลอดภัยสำหรับธุรกิจ คำแนะนำนี้เป็นเครื่องเตือนใจว่าซอฟต์แวร์ EDR เพียงอย่างเดียวไม่ใช่การรับประกันการป้องกัน ผู้โจมตีกำลังสร้างเครื่องมือที่ออกแบบมาเพื่อเอาชนะมันอย่างแข็งขัน และ agent เดียวที่ถูกปิดใช้งานบนเครื่องหนึ่งเครื่องอาจเป็นความแตกต่างระหว่างเหตุการณ์ที่ถูกจำกัดขอบเขตกับการละเมิดทั้งเครือข่าย การป้องกันแบบหลายชั้น รวมถึงการตรวจสอบระดับเครือข่ายที่ไม่พึ่งพาเฉพาะ agent ปลายทางที่รายงานกลับ จำเป็นมากขึ้นเรื่อย ๆ ในการจับการบุกรุกเมื่อสัญญาณ EDR เงียบลง

สำหรับผู้ใช้ทั่วไปและผู้บริโภค ข้อคิดไม่ได้เกี่ยวกับการลงมือทำโดยตรงมากนัก แต่เกี่ยวกับการตระหนักรู้ กลุ่มแรนซัมแวร์อย่าง The Gentlemen ท้ายที่สุดมุ่งเป้าไปที่องค์กรที่ถือข้อมูลของคุณ ตั้งแต่นายจ้างไปจนถึงผู้ให้บริการด้านสุขภาพไปจนถึงบริษัทบริการ เมื่อองค์กรเหล่านั้นสูญเสียการมองเห็นการโจมตี การแจ้งเตือนการละเมิดข้อมูลที่ตามมาอาจล่าช้าหรือไม่สมบูรณ์ ซึ่งเป็นเหตุผลที่การตื่นตัวต่อการเปิดเผยการละเมิดข้อมูลและการลงมืออย่างรวดเร็วต่อการเปลี่ยนแปลงรหัสผ่านหรือข้อเสนอการติดตามเครดิตจึงสำคัญกว่าที่เคย

การอยู่เหนือกว่าแรนซัมแวร์ที่หลบเลี่ยง EDR

การป้องกันจาก The Gentlemen และกลุ่มที่คล้ายกันต้องปฏิบัติต่อ EDR เป็นหนึ่งในหลายชั้น มากกว่าจุดล้มเหลวจุดเดียว ทีมความปลอดภัยควรเฝ้าระวังความพยายามที่ไม่ได้รับอนุญาตในการถอนการติดตั้งหรือปิดใช้งาน security agent เพราะพฤติกรรมนั้นเองเป็นสัญญาณเตือนล่วงหน้าที่แข็งแกร่งของการบุกรุกที่กำลังเกิดขึ้น การอัปเดตระบบอย่างทันท่วงทีก็สำคัญเช่นกัน เพราะผู้โจมตีมักพึ่งพาช่องโหว่ที่รู้จักเพื่อให้ได้ฐานที่มั่นเริ่มต้นที่จำเป็นในการเข้าถึงและปิดใช้งานเครื่องมือด้านความปลอดภัย ซึ่งเป็นพลวัตที่เห็นได้ในคำแนะนำการแพตช์ล่าสุดเช่นคำแนะนำ zero-day ของ Windows สำหรับ CVE-2026-68820

ท้ายที่สุด การเพิ่มขึ้นของยุทธวิธีหลบเลี่ยง EDR ของแรนซัมแวร์ The Gentlemen เน้นย้ำถึงการเปลี่ยนแปลงในวิธีการดำเนินงานของกลุ่มแรนซัมแวร์: การต่อสู้เริ่มต้นก่อนการเข้ารหัส ในช่วงเวลาที่ผู้โจมตีพยายามทำให้การป้องกันของคุณมองไม่เห็น องค์กรที่สร้างความซ้ำซ้อนในการตรวจสอบ แบ่งเครือข่ายเพื่อจำกัดการเคลื่อนที่ในแนวนอน และฝึกพนักงานให้รู้จักสัญญาณเริ่มต้นของการแทรกแซงซอฟต์แวร์ความปลอดภัย จะอยู่ในตำแหน่งที่ดีกว่ามากเมื่อเทียบกับผู้ที่พึ่งพา EDR เป็นตาข่ายนิรภัยเพียงชั้นเดียว

ข้อควรปฏิบัติที่นำไปใช้ได้:

  • ตรวจสอบว่าซอฟต์แวร์ EDR หรือแอนติไวรัสของคุณเปิดใช้การป้องกันการแทรกแซง (tamper protection) และไม่สามารถปิดใช้งานได้โดยไม่มีการยืนยันตัวตนเพิ่มเติม
  • ตั้งค่าการแจ้งเตือนเฉพาะสำหรับการถอนการติดตั้ง การปิดใช้งาน หรือการหยุดบริการของ EDR agent เพราะพฤติกรรมนี้เป็นสัญญาณอันตรายในตัวเอง
  • เพิ่มการตรวจสอบผ่านเครือข่ายควบคู่กับเครื่องมือปลายทาง เพื่อให้การมองเห็นไม่หายไปหาก agent หนึ่งตัวดับลง
  • อัปเดตช่องโหว่ที่รู้จักอย่างทันท่วงที เพราะระบบที่ไม่ได้แพตช์ยังคงเป็นจุดเข้าที่ง่ายที่สุดสำหรับพันธมิตร RaaS
  • หากคุณเป็นผู้บริโภค คอยติดตามการแจ้งเตือนการละเมิดข้อมูลจากองค์กรที่คุณมีปฏิสัมพันธ์ด้วย และลงมืออย่างรวดเร็วต่อการเปลี่ยนแปลงรหัสผ่านหรือความปลอดภัยของบัญชีที่แนะนำ